Ryan Szrama

**Nome do Software Vulnerável e Versões Afetadas** Drupal Commerce CyberSource versões 0.0.0 a 1.10.0 **Descrição** Uma discrepância de tempo observável na integração do gateway Secure Acceptance Hosted Checkout permite ataques de força bruta. O módulo não verifica corretamente a integridade dos dados retornados pelo provedor de pagamento, o que poderia permitir que um invasor utilize um ataque de temporização para enganar o site, registrando que o pagamento foi recebido mesmo quando não foi. **Recomendações** Atualize o Drupal Commerce CyberSource para uma versão posterior à 1.10.0.

**Nome do Software Vulnerável e Versões Afetadas** Commerce PayPal versões 0.0.0 a 1.12.0 Commerce PayPal versões 2.0.0 a 2.1.3 **Description** Um problema de autorização incorreta permite a navegação forçada (Forceful Browsing). O módulo não valida adequadamente os resultados das transações ao utilizar o gateway de pagamento Payflow Link, permitindo que um usuário mal-intencionado marque transações como concluídas sem realizar o pagamento. **Recommendations** Atualize o Commerce PayPal versões 0.0.0 a 1.12.0 para uma versão posterior à 1.12.0. Atualize o Commerce PayPal versões 2.0.0 a 2.1.3 para uma versão posterior à 2.1.3.

**Nome do software vulnerável e versões afetadas** Drupal Entity Delete Log, versões 0.0.0 a 1.1.1 **Descrição** O problema está relacionado a uma falha de autorização no Drupal Entity Delete Log, o que permite a navegação forçada. Isso pode permitir que um invasor remoto contorne as restrições de segurança e execute um ataque de navegação forçada. **Recomendações** Para as versões 0.0.0 a 1.1.1, atualize para uma versão que inclua a correção para este problema, a fim de evitar ataques de navegação forçada. Como solução temporária, considere restringir o acesso ao módulo Entity Delete Log até que um patch esteja disponível.